Команда PHP випустила екстрені патчі для вразливостей PHP2Shell
Розробники PHP усунули дві критичні проблеми виконання коду з оцінкою 9.2, які зачепили всі версії мови за останнє десятиліття.
Команда PHP випустила позачергові виправлення для двох критичних уразливостей у ядрі інтерпретатора з оцінкою 9.2 з 10, зареєстрованих як CVE-2026-109618 та CVE-2026-109619. Дослідники назвали їх PHP2Shell через можливість віддаленого виконання коду на сервере без логіна та пароля.
Обидві вади ховаються в механізмі обробки помилок інтерпретатора. Перша пов'язана з вичерпанням memory_limit під час розбору вхідних даних, коли внутрішні структури залишаються неініціалізованими. Друга є класичним сценарієм use-after-free між різними запитами, що призводить до витоку пам'яті процесу з чужими сесіями та токенами.
За даними аналітиків, уразливість зачіпає всі гілки мови, починаючи з версії PHP 5.4, і працює на таких серверах, як PHP-FPM, Apache mod_php, php-cgi, FrankenPHP та LiteSpeed. Зазначається, що фронтирні моделі штучного інтелекту значно прискорили створення стабільних експлойтів для дефектів, які перебували в коді понад десять років.
Для захисту потрібно оновити PHP до актуальних версій 8.2.35, 8.3.36, 8.4.27 або 8.5.12 та обов'язково перезапустити воркери. Для версій 8.1 і старших офіційних виправлень немає.
Джерело: PHP Advisory CVE-2026-109618
Джерело: PHP Advisory CVE-2026-109619
Джерело: habr
Коментарі
Допоможи покращити наступну версію: Додавай контекст або пропонуй виправлення. Після AI-перевірки коментарі можуть отримати бали для переписування. Перевірка й оновлення потребують часу; повна шкала не гарантує нової версії.